L’azione  del Governo Meloni nel campo della difesa è innegabile, dall’aumento delle spese militari all’acquisto di nuovi e moderni sistemi di arma fino a una incessante opera di militarizzazione del corpo sociale. Sarebbe lunga la lista delle iniziative solo intraprese negli ultimi mesi, valga per tutte la riforma complessiva delle Forze Armate, da cui scaturirà l’aumento degli organici militari fino  all’istituzione di nuovi corpi di riserva. Dopo l’esercito di professionisti la guerra in Ucraina detta le linee guida imponendo non solo l’aumento degli effettivi ma anche un’architettura militare ripensata e strutturata per la guerra informatica e i conflitti cosiddetti non convenzionali. Nel recente passato avevamo scritto a proposito del primo aspetto,[1] mentre ora andremo a commentare il secondo. Ma andiamo con ordine non prima di avere sintetizzato in una scheda i provvedimenti recenti che vanno a incidere sulla nuova impalcatura delle Forze armate. E’ sempre bene consultare le fonti ed averle a disposizioni per verificare la correttezza delle citazioni e delle analisi effettuate ALCUNI DEI PROVVEDIMENTI CHE INTRODUCONO MODIFICHE SULL’ORDINAMENTO DELLE FORZE ARMATE – ANNO 2026 * D. Lgs. 58/2026, approvato, comporta l’assunzione di nuovi graduati nell’Esercito; * L. 48/2026, art. 3, approvato, comporta una delega al Governo per la razionalizzazione e semplificazione della normativa riguardante il corpo militare; * Schema di DdL recante Disposizioni per la costituzione di Forze di riserva, in materia di personale militare nonché delega al Governo per la revisione dello strumento militare, non depositato in Parlamento ma pubblicato sotto forma di Schema di DdL, riguarda l’ampliamento dell’organico e l’istituzione di corpi di riserva dell’Esercito; * Cd. “DdL di revisione dello strumento militare”, non depositato in Parlamento e non pubblicato nemmeno sotto forma di Schema di DdL, concerne l’ampliamento dell’organico delle Forze Armate. Nel febbraio 2026,  presso lo Stato Maggiore della Difesa è stato presentato “il nuovo modello di riorganizzazione delle Forze Armate, che costituirà la base del disegno di legge di revisione dello strumento militare”.[2] Il Disegno di Legge è in attesa di essere approvato dal Parlamento. A conferma che su questo modello non ci sono posizioni univoche e alcune correzioni saranno portate in corso d’opera guardando agli sviluppi bellici, alle indicazioni Nato e Ue e anche agli equilibri da mantenere nei vari ambiti, la diffusione di  un secondo Schema di Disegno di Legge,[3] ad oggi in fase preparatoria e riguardante l’ampliamento dell’organico delle Forze Armate, nella misura di un 20/25% complessivo (40.000 unità). Si tratta quindi di due iter normativi distinti che, tuttavia, vanno a intervenire sul medesimo tema. Esiste poi un terzo provvedimento: il D. Lgs. 58/2026, già divenuto Legge, che in sostanza consente l’assunzione di nuovi graduati nell’Esercito pur restando dentro la precedente cornice legislativa, senza aumentare  l’organico complessivo delle Forze Armate come invece viene richiesto dalla Nato e dal Ministero della Difesa. La ragione di questa frammentazione normativa ? Esistono grandi  divergenze, interne al Governo, sulla questione della cyber sicurezza. Lo Schema di DdL prima citato, non per nulla, in una versione preliminare circolata prima di giugno conteneva profonde modifiche legislative sul tema della difesa informatica: fra tutte spiccava l’istituzione di un ‘Comando interforze Cyber Intel’ per la guerra cybernetica alle dirette dipendenze del Ministero della Difesa. Come detto, nella nuova versione del documento sono scomparsi tutti i riferimenti alla guerra informatica, anche se il Governo manterrebbe la Delega per poter legiferare autonomamente sul tema senza l’approvazione del Parlamento.[4] Alle basi di questo scontro interno alla maggioranza vi è tuttavia  un’ambiguità di fondo o se preferiamo un tema rilevante che suggerisce soluzioni differenti e tali da dividere anche i legislatori. La normativa attuale, infatti, non riesce ad attribuire correttamente e chiaramente le competenze sulla cyber sicurezza: da un lato abbiamo l’Agenzia per la Cybersicurezza Nazionale (ACN), istituita col D. L. 82/2021 e dipendente dalla Presidenza del Consiglio,[5] mentre dall’altro troviamo i casi di guerra cibernetica relativi alla ‘difesa dello Stato’, che sono di competenza del Ministero della Difesa. Il citato Decreto Legge, ad esempio, stabilisce che l’ACN sia “autorità per la gestione delle crisi informatiche relative alla resilienza delle reti informatiche”,[6] mentre il D. Lgs. 138/2024 dice che “per la parte relativa alla resilienza nazionale [è competente] l’Agenzia per la cybersicurezza nazionale [, mentre] per la parte relativa alla difesa dello Stato, il Ministero della difesa”; entrambi gli organismi, inoltre, sono considerati “Autorità nazionali responsabili della gestione degli incidenti e delle crisi di cybersicurezza su vasta scala”.[7] Si consideri che per “resilienza nazionale” la legislazione intende un “pregiudizio per la sicurezza nazionale, danno o pericolo di danno all’indipendenza, all’integrità o alla sicurezza della Repubblica e delle istituzioni democratiche poste dalla Costituzione a suo fondamento, ovvero agli interessi politici, militari, economici, scientifici e industriali dell’Italia”.[8] Dov’è la differenza col concetto di “difesa dello Stato”? La attuale normativa non precisa se la cyber sicurezza sia da considerare un tema prevalentemente civile oppure prettamente militare, perché i contorni dei due ambiti sono molto sfumati e parzialmente coincidenti. Secondo alcuni commentatori specializzati[9] lo scontro in atto si starebbe verificando prevalentemente fra il Ministro Crosetto, che rappresenta gli interessi della Difesa e dei Servizi Segreti (è coinvolto, in particolare, il Dipartimento delle Informazioni per la Sicurezza), e Alfredo Mantovano, Segretario del Consiglio dei Ministri e legato all’ACN, che pur essendo anch’egli vicino ai Servizi vorrebbe mantenere la cyber sicurezza all’interno della cornice civile. La visione di Crosetto è chiara: “la sicurezza deve (…) essere concepita in senso ampio, estesa all’energia, al digitale, alle catene di approvvigionamento, alla resilienza industriale e alla tenuta della società e delle Istituzioni democratiche»”.[10] Secondo lui, “Il Dicastero dovrà quindi individuare e presidiare lo spazio cyber di interesse Nazionale per la difesa e la sicurezza militare dello Stato, inteso come un vero e proprio ‘campo di operazioni’ nel quale operare senza soluzione di continuità per l’assolvimento dei propri compiti istituzionali. A questo scopo, dovrà essere sviluppata un’Arma Cyber dotata di strumenti operativi efficaci e capace di operare con continuità lungo l’intero spettro delle minacce. Essa dovrà integrare professionalità militari e competenze specialistiche provenienti dal mondo civile, valorizzando progressivamente anche il contributo della Riserva [che si vuole istituire con il DdL precedentemente citato]”.[11] Diversi elementi ci inducono a pensare che prevarrà la lettura e la posizione di  Guido Crosetto.  Ricordiamo la foto del Ministro assieme all’allora Presidente dell’ACN Bruno Frattasi dell’estate 2024, scattata durante una convention di Fratelli d’Italia e non a caso molto commentata. LA SITUAZIONE ALLO STATO ATTUALE DELLA LEGISLAZIONE Per come è definito dalla Legge, il concetto di cyber sicurezza comprende sia la resilienza, la disponibilità, la confidenzialità e l’integrità di reti, sistemi informativi, servizi informatici e comunicazioni elettroniche, che la difesa da minacce esterne agli stessi.[12] Il problema è che nella pratica i due campi non possono essere realmente distinti – né a livello concettuale né, tantomeno, in ambito operativo per la configurazione delle risposte alle minacce. Nei testi di Legge riguardanti l’ACN si trovano riferimenti al concetto di ‘difesa civile’,[13] ma di certo non sono sufficienti fermo restando che ragionare attorno alla difesa civile con le stesse categorie degli anni ottanta (ai tempi della obiezioni di coscienza e in contesti storici ed economici diversissimi da quelli odierni) sarebbe non solo errato ma anche avulso dalla realtà (40 anni fa non si parlava di tecnologie duali, non esisteva l’odierno processo di militarizzazione e per fare un esempio la produzione militare di alcuni grandi imprese allora pubbliche era assai più contenuta di quella dei nostri giorni) Il controllo militare della cyber sicurezza avrebbe un grande impatto su alcuni temi, quali la condivisione delle informazioni e la pianificazione democratica delle risposte da attuare. Non dimentichiamo infatti che proprio legislazione attuale prescrive come la notifica di incidenti “aventi impatto su reti, sistemi informativi e servizi informatici” vada fatta all’ACN, anche se l’apparato militare è esente dall’obbligo.[14] Pure i meccanismi e le procedure – relative allo spazio cyber – per la raccolta dati, il monitoraggio, il controllo, le procedure di verifica e via dicendo sono teoricamente in capo all’ACN, tranne che per le azioni svolte dal comparto militare.[15] Sul piano istituzionale le autorità competenti coordinate dall’ACN sono la Presidenza del Consiglio e tutti i Ministeri – ad esclusione di quello della Difesa, che lavora ‘in proprio’. Sul piano del finanziamento per la guerra informatica, inoltre, il Ministero della Difesa gode di fondi separati[16] che, a differenza di quelli assegnati agli altri Ministeri, non sono soggetti al controllo dell’ACN. Quest’ultima gestisce il Fondo per l’attuazione della Strategia nazionale di cybersicurezza e il Fondo per la gestione della cybersicurezza e ne propone la ripartizione fra i Ministeri al Presidente del Consiglio, verificandone poi le modalità di impiego.[17] Esiste, infine, un piano nazionale di risposta agli incidenti e alle crisi informatiche su vasta scala, che viene aggiornato al massimo ogni tre anni. Questo però è escluso dall’accesso e non soggetto a pubblicazione, ossia è segreto.[18]  Di conseguenza non è lecito conoscere sino in fondo i rapporti di forza tra la componente “civile” e quella “militare” per la gestione della cyber sicurezza. In conclusione, il rischio a cui andiamo incontro è che l’ACN sia progressivamente svuotata di contenuto e competenze, che passerebbero invece direttamente alla  Difesa. Ricordiamo anche che quest’ultima non è soggetta a obblighi di legge nemmeno per quanto concerne l’utilizzo di tecnologie IA, sulla base sia della normativa nazionale che europea,[19] e che gode di una relativa (per ora) autonomia dai processi democratici decisionali e di controllo. Da qui un passaggio di competenze al settore militare dovrebbe indurre a qualche domanda sulla democrazia nel nostro paese sempre che il tema goda della attenzione dovuta e auspicabile. La cyber sicurezza rientra nell’ampio campo di applicazione delle tecnologie duali (cioè a uso sia civile che militare) e quindi l’ambiguità normativa di cui abbiamo parlato non riguarda solo la risposta alle minacce ma la costituzione stesso di uno spazio di sicurezza informatico. L’intenzione del Governo è di foraggiare il mercato e attrarre investimenti creando domanda proprio a partire dalla riduzione dei vincoli d’impiego di tali tecnologie (non per niente le imprese sono chiamate a partecipare alla costruzione della cosiddetta ‘resilienza cyber’ anche all’interno dei testi di Legge citati finora, sul modello statunitense). Si va alimentando in tal modo un circolo (vizioso?) per cui le tecnologie militari vengono trasmesse alla sfera civile, sviluppandosi e diffondendosi, e viceversa. Pertanto, nella narrazione dominante ogni freno alla libera applicazione delle tecnologie dual-use diventa un sabotaggio delle filiere economiche – tant’è che il Governo ha recentemente polemizzato con l’Unione Europea[20] a proposito della possibilità di utilizzare il riconoscimento biometrico delle persone per operazioni di Polizia, che dall’AI Act europeo non è concessa, proprio su questa base. E qualunque iniziativa di boicottaggio  universitario o di semplice critiche alla ricerca duale potrebbe divenire pretesto di ulteriori campagne repressive subordinando il sapere e la ricerca agli interessi economici e militari, impedendo di fatto prese di posizioni contrarie all’utilizzo degli atenei per finalità di guerra.  Emiliano Gentili, Federico Giusti, Osservatorio contro la militarizzazione delle scuole e delle università Note:  [1] Cfr. E. Gentili, F. Giusti, S. Macera, Prosegue la riforma militare: nuovi corpi e una delega al Governo, 27 Giugno 2026, https://www.lordinenuovo.it/2026/06/27/prosegue-la-riforma-militare-nuovi-corpi-e-una-delega-al-governo/. [2] Ministero della Difesa, DDL riforma Difesa: presentato al Ministro il nuovo modello di riorganizzazione delle Forze Armate, 16 Febbraio 2026, https://www.difesa.it/primopiano/ddl-riforma-difesa-presentato-al-ministro-il-nuovo-modello-di-riorganizzazione-delle-forze-armate/89243.html. [3] Schema di Disegno di Legge recante “Disposizioni per la costituzione di Forze di riserva, in materia di personale militare nonché delega al Governo per la revisione dello strumento militare”. [4] I decreti legge prevedono solo pareri consultivi forniti dalle commissioni parlamentari competenti e il Governo può utilizzarli per riformare le Forze Armate a causa della L. 244/2012. [5] D. L. 82/2021, art. 2, c. 1. [6] D. L. 82/2021, art. 7, c. 2. [7] D. Lgs. 138/2024, art. 2, c. 1, lett. “g”. [8] DPCM 131/2020, art. 1, c. 1, lett. “f”. [9] Cfr. L. Varriale, ACN verso lo svuotamento: la cybersicurezza passa alla Difesa?, 23 Giugno 2026, https://www.matricedigitale.it/2026/06/23/riforma-cyber-acn-difesa-dis-servizi-militari/. [10] G. Crosetto, Atto di indirizzo del Ministro della Difesa 2026, 9 Luglio 2026, p. 10. [11] Ivi, p. 29. [12] Cfr. D. L. 82/2021, art. 1, c. 1, lett. “a”. [13] Cfr. D. L. 82/2021, art. 9. [14] L. 90/2024, art. 1. [15] L. 90/2024, art. 8. [16] L’art. 35-bis, comma 2, del D.L. 7 maggio 2024, n. 60, convertito dalla L. 95/2024, ha istituito nello stato di previsione del Ministero della Difesa un: «fondo per il potenziamento delle capacità di cybersicurezza e delle tecnologie satellitari». Vi sono inoltre una componente molto significativa del PNRR – Missione 1, Componente 1, Investimento 1.5 “Cybersecurity” e altri fondi assegnati dall’ACN al Mef che possono essere in parte stati destinati al Ministero della Difesa in quanto soggetto attuatore di singoli investimenti. [17] Cfr. L. 197/2022, art. 1, cc. 899, 900 e 901. [18] Cfr. D. Lgs. 138/2024, art. 13, cc. 3 e 5. [19] Cfr. AI Act, art. 2, c. 3: «Il presente regolamento non si applica ai sistemi di IA sviluppati o usati per scopi esclusivamente militari». [20] Cfr. Redazione politica de il Fatto Quotidiano, Slitta il voto sul riconoscimento facciale con l’IA. Bruxelles: “Norma Ue vieta la sorveglianza negli spazi accessibili al pubblico”, «il Fatto Quotidiano», 30 Luglio 2026. -------------------------------------------------------------------------------- Se come associazioni o singoli volete sostenerci economicamente potete farlo donando su questo IBAN: IT06Z0501803400000020000668 oppure qui: FAI UNA DONAZIONE UNA TANTUM Grazie per la collaborazione. Apprezziamo il tuo contributo! Fai una donazione -------------------------------------------------------------------------------- FAI UNA DONAZIONE MENSILMENTE Apprezziamo il tuo contributo. Dona mensilmente -------------------------------------------------------------------------------- FAI UNA DONAZIONE ANNUALMENTE Apprezziamo il tuo contributo. Dona annualmente

AI, bug bounty e verifica dell’età. Il riepilogo di quanto uscito su «Guerre di Rete» ad aprile, In coda un link della “bottega” per ricordare Carola Frediani. La fine del bug bounty? di Marco Schiaffino L’intelligenza artificiale ha moltiplicato le segnalazioni di vulnerabilità fino a sommergere chi dovrebbe correggerle. E i programmi che premiano chi scova le falle iniziano a

Immagine in evidenza rielaborata con IA Quanto è difficile parlare di cybersicurezza con le aziende. E ciò vale anche per quelle dei trasporti: un settore in apparenza lontano dagli attacchi dei cracker, ma che mostra invece parecchie vulnerabilità oltre a un ampio potenziale di rischio. Provare ad affrontare il tema della sicurezza informatica con alcune delle più grandi realtà del paese produce come minimo un irrigidimento; nel peggiore dei casi, il silenzio. Mail senza risposta, telefoni che squillano a vuoto, repliche vaghe: quasi nessuno si presta a rispondere alle domande del cronista, e molti si eclissano dopo un primo contatto di prammatica. LA CYBERSICUREZZA DELLE AUTOSTRADE ITALIANE Prendiamo Autostrade per l’Italia (ASPI), la stessa società che qualche anno fa (non molti: era il 2018) finì sotto la lente di ingrandimento per il caso del ponte Morandi, crollato a Genova a metà agosto. Un disastro che aveva sollevato interrogativi profondi sui sistemi di controllo e sulla cultura della sicurezza del gruppo. Ci si aspetterebbe che queste procedure, fisiche e cyber, siano diventate il fiore all’occhiello del gruppo. E che – stando così le cose – non sia un problema comunicarlo all’esterno. Sbagliato. Svariati tentativi di contatto via email sono caduti nel vuoto. Non va meglio al telefono, con l’apparecchio dell’ufficio stampa che squilla senza che nessuno risponda. Quando si attiva la segreteria, lo fa solo per rimandare al medesimo indirizzo di posta elettronica, che rimane muto.  La società Movyon si definisce il “centro di eccellenza per la ricerca e innovazione del gruppo ASPI” e offre “soluzioni tecnologiche end-to-end per gestori di infrastrutture stradali e autostradali, pubbliche amministrazioni e service provider, supportandoli nella creazione di una mobilità più intelligente, accessibile, sostenibile e sicura a favore della comunità”. Il logo si trova, per esempio, sulle sbarre che si alzano e si abbassano ai caselli. Sembra la porta giusta a cui bussare per parlare di cybersicurezza con ASPI. Del resto, la stessa Movyon sviluppa applicazioni tecnologicamente avanzate come quelle per il monitoraggio delle merci pericolose in viaggio sulla rete, il cosiddetto V2X (vehicle to everything): un sistema che, si legge nella presentazione, “monitora in tempo reale i veicoli che trasportano materiali pericolosi e avvisa i conducenti di eventuali situazioni di pericolo, come la presenza di altri veicoli con merci pericolose nelle vicinanze o situazioni anomale lungo la strada”. Il sistema non si limita al minimo indispensabile, ma, viene spiegato, arricchisce i messaggi con informazioni aggiuntive rispetto agli standard di settore. Lecito chiedersi: cosa succederebbe se venisse attaccato?  Estendendo il discorso, ci sono altre domande da porsi. Cosa accadrebbe se qualcuno tentasse di azzerare tutti i pedaggi, rubare i dati delle carte di credito degli automobilisti, o cambiare i messaggi nei cartelli a led che puntellano la rete, magari consigliando di effettuare deviazioni non necessarie al solo scopo di creare il caos? È già accaduto in passato? Quali misure sono state prese? Chi è il responsabile della sicurezza? Domande la cui risposta possiamo soltanto immaginare, perché neanche Movyon ha risposto alla nostra richiesta di contatto. LE FERROVIE DELLO STATO Anche il trasporto ferroviario non è esente da rischi cyber. Che possono riguardare gli apparati di gestione elettronica della rete e dei convogli, ma anche il sistema dei pagamenti. Nel mese di novembre 2025 un attore malevolo ha rubato e diffuso online 2,3 terabyte di dati di Almaviva (un provider di servizi web) e Ferrovie dello Stato, che a esso si appoggiava.  L’attacco è stato confermato dalla stessa Almaviva in una nota, dopo essere trapelato alla stampa. Secondo la rivendicazione dei cracker, il leak conterrebbe repository aziendali condivisi e documentazione tecnica riservata, inclusi contratti. Ma ci sarebbero anche dati personali dei passeggeri e dei dipendenti di quasi tutte le società del gruppo FS, da Mercitalia a Rete Ferroviaria Italiana, da Trenitalia a Italferr (da poco ribattezzata FS Engineering).  “L’episodio che ci riguarda è riconducibile a un accesso non autorizzato che ha interessato un vecchio data center in dismissione della società Almaviva”, rispondono le Ferrovie dello Stato a una richiesta di informazioni da parte di Guerre di Rete. “L’attenzione è concentrata sull’accertamento tecnico dei fatti, sulla tutela delle informazioni e sulla piena collaborazione con Almaviva, società obiettivo dell’attacco, e le autorità competenti”. Le FS non forniscono ulteriori dettagli “per rispetto delle indagini”, ma aggiungono che sono in corso “attività di verifica tecnica e monitoraggio di tutti i nostri sistemi”. Almaviva, viene spiegato dalle Ferrovie, ha “informato anche gli organismi competenti per la protezione dei dati personali, mentre il Gruppo FS collabora per ciò che riguarda tutti i profili di propria competenza”. Che provvedimenti sono stati presi? “Appena emersa la vicenda, il Gruppo FS, grazie alla sinergia tra FS Security e FS Technology e in coordinamento con Almaviva e con le autorità, ha attivato tutte le misure di sicurezza e mitigazione necessarie”, risponde la società. “Sono stati predisposti backup alternativi, rafforzate le attività di monitoraggio e continuità operativa e condivise le azioni da intraprendere con le strutture di Security del gruppo e con gli organismi di vigilanza competenti. Parallelamente, prosegue il monitoraggio del web e dei canali specializzati per intercettare tempestivamente eventuali pubblicazioni di materiali riconducibili all’attacco. Anche Almaviva ha dichiarato di aver isolato l’attacco, attivato il proprio team specializzato e garantito la continuità dei servizi critici”. FS definisce “fondamentale” il presidio dell’intera filiera tecnologica – considerando che tutti i grandi gruppi si avvalgono di fornitori che possono essere “bucati” – e ammette che non è sufficiente monitorare i sistemi interni. “I fornitori e i partner tecnologici sono tenuti a rispettare requisiti stringenti sul piano della sicurezza informatica, della protezione dei dati, della continuità operativa e della gestione degli incidenti. Tali presidi sono definiti nell’ambito dei rapporti contrattuali, dei processi di qualifica e delle verifiche periodiche, con livelli di attenzione coerenti con la criticità dei servizi affidati”. L’errore è sempre possibile, ed è in queste lunghe catene di fornitura che provano a infilarsi i cattivi della rete.  IL TRASPORTO AEREO Già, il problema delle filiere. Sempre più complesse, e, per questo, sempre più vulnerabili.  Pensare a un attacco al sistema ferroviario può spaventare, ma immaginare che sia il sistema di controllo di un aeroplano a essere bucato scatena il terrore. Guerre di Rete ha provato a contattare Ita Airways, compagnia di bandiera (o forse non più: dipende dai punti di vista) italiana. Alla nostra richiesta di intervista, gli uffici hanno opposto un no-comment. Non è stato possibile, dunque, parlare con il CISO (chief internet security officer, cioè il capo della sicurezza informatica) né domandare che tipo di procedure di sicurezza, almeno a livello basilare, siano prese a tutela dei viaggiatori.  Ma perché questa paura di parlare, quando si tratta di cybersecurity? A rispondere è l’ENAC, l’Ente nazionale per l’aviazione civile, che fa capo al governo ed è l’autorità che fissa le regole del settore in Italia basandosi su normative europee (come la NIS2) e nazionali. “La sicurezza, in generale, sta alle spalle dei processi operativi: per questo è prassi comune che non se ne parli, e che le misure prese non vengano condivise”, riflette l’ingegnere Sebastiano Veccia, a capo della sicurezza dell’ENAC. Nella sua interpretazione, “non è ritrosia, ma una forma di cultura di sicurezza: si fa, ma non si dice”.  Resta il fatto che il pubblico ha domande sul rischio di volare, soprattutto in tempi di guerre asimmetriche che coinvolgono obiettivi non militari. Chiediamo se è possibile far cadere un aereo per mezzo di un attacco informatico. “Mi sento di escluderlo”, risponde Veccia. “Certo, un caso molto diverso come quello dell’11 settembre insegna che tutto è possibile, ma si tratta di una probabilità estremamente bassa”. È possibile invece inserirsi nei sistemi  di comunicazione con i piloti? “I sistemi di comunicazione tra l’aeromobile e la torre di controllo sono avanti anni luce”, risponde il dirigente.  E se invece qualcuno riuscisse a infiltrarsi nelle ditte che producono gli aeroplani, e quindi anche il software che li governa, per inserire codice malevolo? In fondo gli incidenti del Boeing 737 Max paiono legati a sensori difettosi e software. “È il problema ben noto dei cosiddetti insider nell’industria. In Italia e in Europa, per le figure che entrano a contatto con aree e attività sensibili, viene richiesto alle forze di polizia un controllo dei precedenti penali del soggetto. Per ruoli di particolare criticità si richiede, in aggiunta, un background check rafforzato, che non si limita ai precedenti penali, ma guarda anche agli ambienti e alle compagnie che la persona frequenta”. Indagini di intelligence che servono a capire se il soggetto è radicalizzato, o vicino ad aree politiche pericolose. “La prevenzione si fa a monte, e lo stesso approccio degli aeroporti vale anche per i costruttori aeronautici e chi fa manutenzione degli aeromobili. Anche per chi è incaricato di caricare i dati sui pc di bordo c’è una procedura blindata”. Veccia è consapevole che la sicurezza è un gioco tra guardie e ladri: l’inseguimento è costante. Si prova a isolare i dispositivi critici dal mondo esterno. “Le chiavette di manutenzione vengono controllate, sterilizzate e infine distrutte. Non solo: in aviazione le stesse attività di controllo si espletano in loco e non, come spesso accade oggi, da remoto. La programmazione degli interventi di sicurezza è importante, così come lo è preparare una matrice dei rischi: perché  il 90% delle emergenze è dovuto a cattiva pianificazione. Faccio comunque notare che energia nucleare e aeronautica sono sempre stati i due settori più controllati”.  La visione di Veccia è confermata da una nostra fonte interna al settore. Che, al tavolo di un ristorante, racconta come “negli ultimi trent’anni non ci sono mai stati due incidenti aeronautici per lo stesso motivo, e questo perché ogni volta che ne accade uno lo si analizza nei dettagli e si corre ai ripari. Questo, in altri settori dove le procedure sono molto più lasse, viene preso per eccesso di pignoleria”. Un esempio è quello dei trasporti marittimi, con i porti che rappresentano la via di ingresso privilegiata per le merci che finiscono sugli scaffali, per il petrolio, ma anche per molto altro. LA SICUREZZA INFORMATICA DEI PORTI Sarebbe sbagliato sottovalutare l’importanza della cybersicurezza nei porti: quantità enormi di merci viaggiano via mare. Ma ci sono anche droga, armi, materiale illegale. E persone. Si comincia dai controlli all’ingresso per camion e autoveicoli. Entrare liberamente nell’area portuale significa avere una sorta di lasciapassare, utilissimo se si sa dove mettere le mani. Sistemi di controllo esistono, certo. Ma, come racconta la nostra fonte, le maglie sono larghe: “Quando si fanno le gare di appalto, per esempio per le telecamere da installare, solitamente si sceglie il prodotto che ha il prezzo più basso, che di norma è cinese. Queste telecamere possono avere delle backdoor, delle porte software nascoste che sono in grado di esfiltrare i dati e che cambiano a ogni aggiornamento. In sostanza, non controllando la tecnologia che usiamo potremmo offrire a un paese straniero la possibilità di fare intelligence sulle nostre informazioni”. Pechino è la principale indagata.  Ma c’è di più. L’andirivieni di un porto è basato su un sistema di riconoscimento delle targhe automobilistiche: camion di autotrasportatori noti trovano porte aperte e sbarre alzate ai varchi. I controlli sono a campione. Facile capire come, con un attacco mirato, sia facile far entrare anche chi non sarebbe autorizzato. Basta inserire una targa in più nel gestionale e il gioco è fatto. Le procedure manuali sarebbero più efficaci, ma sono troppo lente per i volumi di traffico dei grandi hub. Senza considerare che gli spazi sulle banchine sono affittati e gestiti tramite un software gestionale estremamente complesso, che sa esattamente chi e dove farà cosa con mesi di anticipo: anche in questo caso, un cybercriminale che riuscisse a entrare nel sistema potrebbe creare il caos operativo, paralizzando le attività. Guerre di Rete ha contattato il porto di Gioia Tauro, principale scalo merci italiano: nessuna risposta, neanche dopo svariati tentativi telefonici e via mail. Ha risposto, invece, l’autorità portuale di Genova.  “In merito alla richiesta pervenutaci, siamo nella necessità di non poter aderire all’iniziativa proposta”, afferma la replica pervenuta tramite posta elettronica. “La cybersecurity costituisce un ambito di particolare sensibilità per le infrastrutture critiche nazionali, categoria alla quale i sistemi portuali appartengono a pieno titolo. La normativa vigente in materia, unitamente alle linee guida emanate dall’Agenzia per la Cybersicurezza Nazionale (ACN), raccomanda la massima prudenza nella comunicazione pubblica relativa a sistemi, procedure e strategie di protezione informatica. La policy dell’Ente prevede pertanto di non rilasciare interviste su tali tematiche al di fuori dei canali istituzionali preposti”. Insomma, nulla da dichiarare.  TUTTO BENE? Il breve viaggio intrapreso offre un quadro allarmante. E le contromisure non possono essere solo tecniche. Veccia, dirigente dell’ENAC, sottolinea quanto la cultura aziendale giochi un ruolo centrale: “La formazione del personale è importante. C’è ancora chi lascia le proprie password attaccate al PC con dei post-it. Per questo va ribadito: anche se fare corsi può sembrare noioso ai dipendenti, quest’attività si rivela utile quando ci si trova di fronte a un caso sospetto, e si torna con la mente alle lezioni in aula per sapere come reagire”.  Ci sono anche altre questioni, più difficili da affrontare. Come spiega la nostra fonte, “molte delle soluzioni di cybersecurity nel nostro paese vengono vendute dallo stesso gruppo di persone, poche decine di soggetti che si conoscono tra loro e che possono essere avvicinati senza grossi problemi da chi è dotato di argomenti convincenti, e di una certa disponibilità economica”. Accade di continuo, spiega. Ma questo è un tema per un altro giorno. L'articolo Le troppe falle nella cybersicurezza dei trasporti italiani proviene da Guerre di Rete.

Immagine in evidenza rielaborata con AI Il 10 febbraio scorso la Commissione Europea ha approvato senza condizioni l’acquisizione di Wiz da parte di Google, conclusa poi a marzo per un valore di 32 miliardi di dollari. Wiz è un’azienda israelo-americana fondata nel 2020: opera nel settore della cybersecurity e ha sviluppato una piattaforma che consente alle aziende di monitorare e proteggere le proprie “superfici di attacco” sul cloud. Tra i suoi clienti ci sono i servizi cloud di molte grandi aziende globali. Teresa Ribera Rodriguez, commissaria europea per la concorrenza, ha dichiarato in una nota ufficiale che “Google si posiziona dietro ad Amazon e Microsoft in termini di quote di mercato nelle infrastrutture cloud e la nostra valutazione ha confermato che i clienti continueranno ad avere alternative valide e la possibilità di cambiare fornitore”. In termini di concorrenza e rischio di monopolio del mercato, quindi, nulla osta all’acquisizione da parte dell’azienda di Mountain View.  Ma è davvero così? Una recente analisi pubblicata a novembre su ArXiv.org suggerisce che in realtà gli organi di controllo antitrust non siano riusciti a intercettare la vera portata dell’influenza di Google nel settore digitale globale, permettendo all’azienda americana di costituire quello che i tre autori definiscono “l’impero nascosto di Google”.  Secondo gli autori – Aline Blankertz, Brianna Rock e Nicholas Shaxson – oggi Google “ha accumulato un impero di oltre seimila aziende che ha acquisito, supportato o in cui ha investito, nell’economia digitale e non solo”. Tutto ciò sarebbe stato possibile per una concomitanza di fattori, a cominciare dalla strategia di Google di sfruttare investimenti di minoranza nelle società che sfuggono agli organi di controllo e dalle prospettive troppo stringenti che le stesse autorità antitrust adottano nel giudicare gli investimenti e le acquisizioni. GOOGLE CONTROLLA OLTRE 6000 AZIENDE La base di dati principale usata nello studio proviene da PitchBook, un’azienda specializzata nel fornire dati sui movimenti di capitale tra aziende. A questa, i tre autori hanno aggiunto ulteriori ricerche, includendo anche altre aziende della galassia Google (DeepMind, YouTube, Google Ventures, Google for Startups e altre) e un’ulteriore analisi delle informazioni fatte circolare dall’agenzia di stampa Bloomberg. Dai dati risulta che negli ultimi 15 anni Google ha costruito la sua rete di influenza – che, come detto, coinvolge migliaia di aziende digitali – a livello globale. Questa circostanza mette Google in una posizione di netto vantaggio rispetto alle altre Big Tech digitali e, come ha commentato un’autrice dello studio, l’economista tedesca specializzata in piattaforme digitali Aline Blankertz a Guerre di Rete via email, rappresenta “un’enorme concentrazione di potere”. La differenza rispetto a situazioni simili che si sono verificate, per esempio, nel settore finanziario, “sta nel fatto che Google esercita un’influenza molto diretta sui tipi di tecnologie da sviluppare, che sono solo quelle che avvantaggiano il suo modello di business”, continua Blankertz. “Questo le consente di permeare un numero ancora maggiore di ambiti della vita [delle persone] senza dover rendere conto della propria influenza, poiché tali investimenti non sono soggetti ad alcun tipo di supervisione”. Nel suo database, PitchBook distingue, infatti, tra “acquisizione”, cioè la presa del controllo di un’azienda da parte di un’altra attraverso l’acquisto di quote di capitale, e gli “investimenti”, in cui l’acquisto di capitale dà invece diritto a una percentuale inferiore al 15% nei diritti di voto all’interno dei consigli di amministrazione. Seguendo questa distinzione, gli autori hanno analizzato il comportamento di Google tra il 2010 e il 2024. I dati raccontano un incremento della strategia di investimento e una progressiva diminuzione delle acquisizioni e delle fusioni nello stesso periodo.  Un altro fattore importante è che non tutte le aziende in cui Google investe sono nello stesso settore, pur facendo comunque parte del mondo della tecnologia digitale. Ciò consente a Google di esercitare un controllo che non è verticale, ma più simile a un “controllo ecosistemico”, restando però sotto il radar delle autorità di controllo. Delle quasi 6000 aziende in cui ha investito rimanendo sotto la soglia fatidica del 15% dei diritti di voto in CdA, molte sono state sostenute da Google non solo attraverso capitale, ma anche risorse: crediti cloud, mentoring, accesso all’ecosistema. Il risultato è una forma di “controllo senza proprietà”: Google non possiede le startup, ma ne orienta le tecnologie e i modelli di business. E mentre queste si appoggiano sempre più alla sua infrastruttura, finiscono per rafforzarne la posizione sul mercato. Poiché l’antitrust si concentra soprattutto su fusioni e acquisizioni, questa rete di investimenti sfugge in gran parte ai controlli. Così facendo, l’influenza di Google sull’economia digitale mondiale si sarebbe espansa grandemente senza incontrare ostacoli. IL CASO DI DOUBLECLICK All’interno della strategia di Google, le acquisizioni continuano comunque ad avere un peso importante, nonostante il loro numero ridotto negli anni. Non tanto per l’acquisizione diretta di fette di mercato in settori vicini, ma soprattutto per l’integrazione tecnologica. Per spiegare meglio come funzioni, gli autori dell’analisi descrivono il caso di studio dell’acquisizione di DoubleClick avvenuta nel 2007.  DoubleClick era un’azienda americana nata nel 1995 e specializzata nei servizi di pubblicità online. I regolatori americani ed europei che dovevano esprimere un parere sull’acquisizione non individuarono problemi perché ritenevano che Google non avesse abbastanza potere sul mercato e la competizione sarebbe rimasta alta.  In particolare, la Federal Trade Commission statunitense (FTC), respinse “la preoccupazione che Google potesse integrare la propria offerta di pubblicità online con il software di DoubleClick, discriminando così la concorrenza”, perché non sarebbe stata una scelta economicamente vantaggiosa. Eppure è esattamente quello che è successo. Google ha progressivamente integrato DoubleClick nel proprio ecosistema pubblicitario, diventando l’attore dominante dell’intero panorama della pubblicità digitale. Con il paradosso che negli anni successivi le autorità hanno accusato Google di favoritismo e condotta anticoncorrenziale, con pesanti sanzioni dell’antitrust. Secondo Blankertz e gli altri autori, la lezione da portare a casa da questo “peccato originale” è che gli enti regolatori sottostimano l’integrazione verticale. Concentrandosi sul lato economico delle acquisizioni, le autorità si preoccupano soprattutto delle “acquisizioni orizzontali”, cioè aziende simili che operano nello stesso settore di mercato e che, fondendosi, ne potrebbero controllare una fetta troppo grossa, penalizzando la concorrenza.  Le “acquisizioni verticali” sono invece quelle che prevedono di acquisire un fornitore, un cliente o un soggetto di un altro anello della catena di approvvigionamento. Per capire meglio la differenza, nell’articolo viene fatto un esempio relativo al settore agricolo: “L’acquisizione di un altro produttore di pesticidi da parte di un produttore di pesticidi potrebbe sollevare preoccupazioni di natura orizzontale, mentre l’acquisizione di un produttore di semi di soia e mais da parte di un produttore di pesticidi solleverebbe preoccupazioni di natura verticale”. In questo secondo tipo ricade anche l’acquisizione di DoubleClick da parte di Google, che, di fatto, ne ha acquisito la tecnologia integrandola nel proprio ecosistema. IL CASO FITBIT Acquisire una tecnologia entrando in società con un’altra azienda è il tema anche dell’altro caso di studio presentato, quello relativo all’acquisizione di FitBit nel 2020. FitBit era un’azienda che operava acquisendo dati relativi alla salute dei clienti e monitorando le loro abitudini.  Seppure con alcune riserve, sia la Commissione Europea che l’FTC hanno approvato l’operazione, a patto che Google si impegnasse a prevenire un uso improprio dei dati sulla salute dei clienti e che si impegnasse a garantire una competizione equa nel mercato. Gli enti regolatori erano preoccupati che Google potesse utilizzare i dati sensibili di FitBit relativi alla salute e al fitness per rafforzare la propria posizione dominante nella pubblicità online, limitare l’accesso dei concorrenti ai dati o al software e sfruttare il proprio ecosistema Android nel mercato dei dispositivi indossabili.  Google ha accettato senza troppi problemi le indicazioni, perché quelle preoccupazioni erano lontane dal toccare il suo vero interesse strategico. Google sembra infatti aver consentito il declino di FitBit, come dimostrano il calo degli utenti, la riduzione delle vendite e la minore rilevanza del prodotto. Nel frattempo, ha spostato l’attenzione sui propri dispositivi e partnership, come il Pixel Watch e le collaborazioni con Samsung nel settore dei dispositivi mobile. Questo risultato suggerisce che l’acquisizione potrebbe aver funzionato come una “killer acquisition”, neutralizzando un potenziale concorrente anziché rafforzarlo. Il problema, quindi, è che se i regolatori si concentrano solamente sui risvolti di economia “classica” delle acquisizioni e delle fusioni, possono completamente perdere di vista la reale strategia tecnologica che sottostà alle operazioni finanziarie. IL RUOLO DELLA POLITICA E DELLA POLICY Attraverso questo “impero nascosto”, avvertono gli autori dello studio, Google si trova in una posizione dominante per indirizzare lo sviluppo della tecnologia del prossimo futuro. Ovviamente, cercando di spingerla verso una direzione che sia il più profittevole possibile per sé stessa. Ma c’è uno spostamento importante che viene rilevato. Fino a pochi anni fa, Google provava ad assumere una posizione dominante nel mercato grazie al suo peso in termini economici. Oggi, dopo lo spostamento di strategia descritto, Google starebbe cercando di aumentare la propria rilevanza attraverso un posizionamento strategico in settori chiave, come per esempio quelli dell’AI, dell’infrastruttura della cybersecurity e del cloud. Tutti centrali anche nell’acquisizione appena confermata di Wiz. Inoltre, Google sta acquisendo ancora più centralità attraverso una relazione sempre più stretta con gli uffici governativi americani. L’attività di lobbying presso il governo americano è tale per cui, scrivono gli analisti nel paper, “Google presenta le proprie tecnologie cloud e di intelligenza artificiale come indispensabili per affermarsi a livello geopolitico. Questo crea una situazione in cui il governo potrebbe sentirsi in dovere di soprassedere su alcuni dubbi relativi all’espansione di Google e, al contrario, impiegare le proprie risorse per rafforzare l’azienda, invece che controllarla e limitarla”. In questo senso, “l’acquisizione di Wiz può essere considerata un caso di studio per questa dinamica emergente”. E che sembra rappresentare il nuovo paradigma in cui è intenzionata a operare Google. Si può intervenire in termini di policy, magari provando a limitare questo tipo di operazioni da parte di un attore del mercato? Aline Blankertz non nasconde il suo pessimismo: “Il problema è che siamo troppo in ritardo. Se vogliamo creare un mercato in cui le aziende europee possano competere nel settore digitale e in cui i governi possano contare su un’infrastruttura digitale sicura, dobbiamo prendere in considerazione interventi efficaci come lo smembramento delle imprese”. Come a dire: non essendo riusciti a prevenire questa situazione, adesso si dovrebbe rompere un sistema già consolidato. Non sarà facile. L'articolo L’impero nascosto di Google mostra le debolezze dell’antitrust proviene da Guerre di Rete.

La sicurezza passa anche dalla rete e il Festival di Sanremo non poteva essere che l’ennesima occasione propizia per rilanciare il ruolo della divisione informatica della Polizia di Stato: clicca qui per la notizia. Del resto, le minacce cyber sono al centro delle attenzioni governative, come si evince anche da numerose uscite del Ministero e l’occasione della 76ª edizione del Festival di Sanremo era assai appetibile. Le guerre ibride sono al centro del non papello redatto dal Ministro della Difesa Guido Crosetto, come si evince chiaramente da un passaggio eloquente nel testo reperibile sul sito del Ministero della difesa: Minacce cibernetiche, attività di spionaggio e campagne di disinformazione sono tra le principali modalità con cui questi attori cercano di destabilizzare il nostro Paese.  Gli strumenti utilizzati nelle campagne ibride sono in continua evoluzione e vengono adattati al contesto specifico. Tra i più comuni,  in Italia si possono individuare:  attacchi informatici diretti contro istituzioni governative, aziende private e infrastrutture critiche, che possono compromettere dati sensibili, interrompere servizi essenziali e causare danni economici;  campagne di disinformazione mediante la diffusione di notizie false e propaganda attraverso i social media o altri canali online, finalizzate a manipolare l’opinione pubblica, alimentare tensioni sociali e influenzare i processi elettorali;  utilizzo di leve economiche – come sanzioni commerciali mirate o investimenti strategici – impiegate per esercitare pressione politica e influenzare le decisioni del governo italiano;  sabotaggi contro infrastrutture critiche (reti elettriche, sistemi di comunicazione, trasporti), capaci di provocare disagi significativi e generare panico tra la popolazione. Fin qui nulla di nuovo se non fosse per la collaborazione tra specialisti della Polizia Postale e operatori Rai per altro in occasione di un Festival Musicale. Forse si pensa di far intervenire anche i servizi segreti per tutelare il voto degli spettatori onde evitare che dalla Russia o dalla Cina si decida il prossimo vincitore di Sanremo? L’ironia non è casuale, siamo davanti alla ennesima operazione di facciata che tuttavia occulta anche la sostanza del problema ossia il progetto di far apparire la presenza della Polizia Postale come atta a salvaguardare la società stessa e i cittadini. E al contempo ricordiamo la notizia, di alcuni anni or sono, dei droni di produzione israeliana che si erano levati in volo per impedire a droni pirata delle riprese non autorizzate. Il messaggio è chiaro: senza le forze dell’ordine non ci sarebbe il supporto della manifestazione e dei profili social utilizzati nel corso dell’evento. Poi si aggiunge di tutto e di più, dalle campagne contro le truffe on line in compagnia di qualche banca e dei loro contributi. Siete certi allora che si tratti solo di canzonette? Osservatorio contro la militarizzazione delle scuole e delle università --------------------------------------------------------------------------------

di jolek78 Martedì mattina, ore 9. Dopo una normale sessione di patching, uno storico storage ZFS con Solaris 11 smette improvvisamente di dialogare con i client Windows 10. Il colpevole è il solito, maledetto balletto dei dialetti SMB: Windows spinge su SMB 3 per ragioni di sicurezza, mentre il servizio nativo di Solaris arranca nella negoziazione. Due giorni a sbattere

Dalla pagina www.commissariatodips.it/notizie/articolo/parte-da-roma-la-seconda-edizione-di-cybersummer-la-polizia-di-stato-accanto-ai-giovani-per-una-re/index.htmldata apprendiamo che il 1° luglio 2025 è stata inaugurata a Roma la seconda edizione del progetto dal titolo “Cybersummer – La Polizia di Stato accanto ai giovani per una rete più sicura”. Neanche in estate, dunque, il processo di penetrazione delle forze dell’ordine (in questo caso) nell’ambito educativo si ferma. Si legge infatti nella presentazione della campagna della Polizia Postale che essa è rivolta ai ragazzi e alle ragazze che “frequentano centri estivi e altri luoghi di aggregazione alternativi alla scuola, è stata ideata per stare accanto ai ragazzi durante l’estate, quando – liberi dagli impegni scolastici – trascorrono più tempo online”. L’ennesimo spazio educativo viene dunque sottratto al personale civile competente per essere gestito da personale in divisa. Quando le scuole sono chiuse, ecco che sono i centri estivi il luogo in cui le e i giovanissim* vengono intercettat* tramite un progetto che chiaramente conquista consensi anche tra i genitori, sempre più preoccupati da pericoli in rete sicuramente esistenti, ma decisamente enfatizzati da chi si fa carico di contrastarli. Il progetto è realizzato dalla PS attraverso la rete dei Centri Operativi per la Sicurezza Cibernetica ed è destinato a fare tappa in diverse città, toccando temi come “cyberbullismo, adescamento, furti di identità digitali, e più in generale i rischi connessi all’uso dei social e delle piattaforme”. Come Osservatorio contro la militarizzazione delle scuole e delle università abbiamo più volte denunciato l’intrusione di personale in divisa in ambito educativo e ribadiamo con forza che le questioni relative alla sicurezza (in questo caso in rete) deve essere affrontato in chiave pedagogica da chi ha gli adeguati strumenti, e non semplicemente utilizzando i rischi della rete come spauracchio a cui contrapporre una logica securitaria. É evidente il nesso tra normalizzazione della presenza dei militari in contesti che dovrebbero essere estranei alle loro attività e quella “cultura della difesa” che procede sul “doppio binario” costituito dalla creazione di nemici esterni e interni che solo una logica bellicista da un lato e repressiva dall’altra sembra (questo è il messaggio della propaganda) poter sconfiggere. L’Osservatorio contro la militarizzazione delle scuole e delle università lavora anche per ricordare che la vera sicurezza si regge su due pilastri: la giustizia e la pace. Osservatorio contro la militarizzazione delle scuole e delle università

A rispondere all’articolo “Minacciati e accusati di genocidio, Tekapp non ha rapporti con Israele”, le associazioni coinvolte (ndr leggi articolo) e i giornalisti: Su Tekapp abbiamo riportato solo quello che scrivono nel loro sito”. Dopo l’uscita, il 13 luglio sulla Gazzetta di Modena a firma Gabriele Canovi, è Linda Maggiori a specificare ciò che ha rivelato […] L'articolo “Su Tekapp abbiamo riportato solo quello che scrivono nel sito” su Contropiano.